Cập nhật ngay: Google vá bốn lỗ hổng nghiêm trọng trong Chrome

[whf]

Tuần này, ông lớn Google đã công bố phát hành phiên bản Chrome cập nhật cho Windows, Mac và Linux để giải quyết tổng cộng bốn lỗ hổng nghiêm trọng cao trong trình duyệt. Lỗ hổng nghiêm trọng nhất có thể bị khai thác để thực thi mã trên hệ thống bị tấn công có mã CVE-2021-37977.

Lỗ hổng này được mô tả là một lỗi use-after-free trong Garbage Collection đã được báo cáo vào tháng trước bởi một nhà nghiên cứu ẩn danh. Google cho biết họ đã trả phần thưởng 10.000 đô la tiền thưởng cho phát hiện này.

Với việc phát hành phiên bản Chrome version 94.0.4606.81, Google cũng vá 2 lỗ hổng heap buffer overflow trong Blink (CVE-2021-37978) và WebRTC (CVE-2021-37979).

Các lỗ hổng đã được báo cáo bởi Yangkang (@dnpushme) của 360 ATA và Marcin Towalski của Cisco Talos. Google cũng đã trao thưởng 7.500 đô la cho mỗi nhà nghiên cứu đã gửi báo cáo.

Một lỗi nghiêm trọng thứ tư được vá trong bản cập nhật Chrome này là CVE-2021-37980, do triển khai Sandbox không phù hợp. Tác giả là Yonghwi Jin (@jinmo123) đã nhận được phần thưởng 3.000 đô la tiền thưởng cho phát hiện này.

Những kẻ tấn công có thể khai thác các lỗ hổng này thông qua các trang web được thiết kế đặc biệt để xâm phạm hệ thống của người dùng truy cập và có khả năng thực thi mã trong ngữ cảnh của trình duyệt. Extended stable channel cũng đã được hãng cập nhật lên phiên bản 94.0.4606.81 cho Windows và Mac.

Gã khổng lồ tìm kiếm không đề cập đến bất kỳ lỗ hổng nào trong số này bị khai thác trong các cuộc tấn công có chủ đích. Tuy nhiên, cho đến nay đã có hàng chục vụ khai thác zero-day được ghi nhận nhắm mục tiêu đến nền tảng Chrome và Android.

Nguồn: SecurityWeek​